Microsoft Entra ID Parola Politikası Uygulayıcı

Microsoft Entra ID parola politikalarının yetersiz kalmasının nedenleri

Microsoft Entra ID, kuruluşların kullanıcı hesaplarını korumasına yardımcı olmak için yerleşik parola kontrolleri sağlar. Ancak, daha sıkı güvenlik veya uyumluluk gereksinimleri olan kuruluşlar genellikle Entra ID'nin doğal olarak sunduğundan daha ayrıntılı kontroller ister. ManageEngine ADSelfService Plus, Microsoft Entra ID parola politikası uygulamasını gelişmiş parola doğrulama, ihlal taraması ve kendi kendine parola sıfırlamalar ve parola değişiklikleri için grup tabanlı politika ataması ile genişletir.

Microsoft Entra ID, dört karakter kategorisinden üçünü gerektiren karmaşıklık kurallarını ve tekrarlanan başarısız oturum açma denemelerini engellemek için Akıllı Kilitleme'yi uygular. Küçük, yalnızca bulut tabanlı kiracılar için bu ayarlar kutudan çıktığı gibi yeterlidir.

Güvenlik gereksinimleriniz arttıkça sınırlamalar ortaya çıkar. Entra ID, farklı kullanıcı gruplarına farklı politikalar atamak için bir mekanizmaya sahip değildir—politika kiracı genelindedir veya PowerShell aracılığıyla kullanıcı bazındadır, ara bir seçenek yoktur. Ve dört kategoriden üçünü sağlamak düşük bir standarttır. DeepStrike, dünya genelinde en yaygın 10 paroladan yedisinin 123 ile başlayan sayısal diziler olduğunu, bunların tümünün kolayca kırılabilir olduğunu ancak Entra ID'nin karmaşıklık kontrolü tarafından engellenmeyeceğini belirtir.

Yerleşik Microsoft Entra ID parola politikası kontrolleri:

Yerleşik Microsoft Entra ID parola politikası tarafından sunulan parola politikası kontrolleri şunlardır:

• Microsoft Graph PowerShell aracılığıyla kiracı veya kullanıcı bazında yapılandırılabilir parola süresi, Update-MgDomain ve Update-MgUser ile
• Büyük harf, küçük harf, rakam ve sembollerden üç kategoriyi zorunlu kılan karmaşıklık gereksinimi
• Minimum 8 karakter, maksimum 256 karakter uzunluğu.
• Parola Koruması aracılığıyla küresel yasaklı parola listesi ve özel yasaklı parola listesi.

Yerleşik Microsoft Entra ID parola politikasının sınırlamaları

Yerleşik kontrollerin etkisiz olduğu alanları anlamak, boşlukları kapatmanın ilk adımıdır. Yerleşik Microsoft Entra ID parola politikalarını kullanmak size şunları yapma imkanı vermez:

• Entra grupları veya Entra alanlarına dayalı olarak farklı kullanıcı rolleri ve ayrıcalıkları için farklı politikalar uygulamak.
• Karakter türü başına belirli minimum sayıları zorunlu kılmak (örneğin, en az iki sembol ve bir büyük harf).
• Önceki parolaların kısmi yeniden kullanımını önlemek.
• Parolaları canlı ihlal veritabanlarına karşı taramak.
• Hem Entra ID tabanlı parola değişiklikleri ve sıfırlamalar hem de hibrit ortamlarda yerel AD tabanlı parola değişiklikleri ve sıfırlamalar için gelişmiş politika kurallarını uygulamak.

ADSelfService Plus'ın Entra ID için Parola Politikası Uygulayıcısı nasıl çalışır

Parola Politikası Uygulayıcısı, Entra ID'nin yerleşik olarak uyguladığı zayıflıklara yönelik beş kontrol alanı aracılığıyla yapılandırılır.

Karakterleri kısıtla: Bir parolanın her kategoriden tam olarak kaç karakter içermesi gerektiğini ve hangi türle başlaması gerektiğini (büyük harf, küçük harf, rakam, özel ve Unicode gibi) tanımlayın. Bu, üçte üç geçme/kalmayı kesin, denetlenebilir gereksinimlerle değiştirir.

Tekrarı kısıtla: Parola geçmişinin ne kadar geriye kadar kontrol edileceğini, önceki bir paroladan kaç ardışık karakterin yeni parolada izinli olduğunu ve aynı karakterin tek bir parola içinde tekrar kullanımına izin verilip verilmediğini ayarlayın.

Deseni kısıtla: Özel kelime listeleri yükleyin, palindrom tespiti etkinleştirin ve klavye yürüyüş dizilerini engelleyin. Belirli biçimlendirme ihtiyaçları olan kuruluşlar için regex desenleri, geçerli bir parolanın tam olarak nasıl görünmesi gerektiğini veya olmaması gerektiğini tanımlayabilir.

Uzunluğu kısıtla: Minimum ve maksimum uzunluğu bağımsız olarak yapılandırın ve karmaşıklık gereksinimlerinin otomatik olarak gevşetileceği bir eşik belirleyin; böylece kullanıcılara uzun parola ifadeleri için pratik bir yol sunulur ve yönetici istisnaları gerektirmez.

İhlal edilmiş parola taraması: Her parola sıfırlama veya değiştirme anında Have I Been Pwned'a bağlanarak doğrulanır. Bilinen ihlal veritabanlarında bulunan parolalar, diğer tüm politika kurallarını geçseler bile ayarlanmadan önce reddedilir.

Birçok kuruluş, parola politikalarını düzenleyici ve sektöre özgü gereksinimlerle uyumlu hale getirmek zorundadır. Parola kontrollerinin uyumluluk çerçeveleriyle nasıl eşlendiğini anlamak, yöneticilerin yerleşik Entra ID yeteneklerinin güvenlik ve denetim ihtiyaçları için yeterli olup olmadığını değerlendirmesine yardımcı olur.

Entra ID parola politikaları ile uyumluluk eşlemesi

Entra ID'nin yerleşik parola politikaları genel güvenlik hijyeni için tasarlanmıştır, belirli düzenleyici çerçeveler için değil. Varsayılan olarak uygulanan ile denetçilerin beklediği arasında genellikle önemli bir fark vardır.

ADSelfService Plus, parola kurallarını belgelenmiş çerçeve gereksinimleriyle doğrudan eşlemenize olanak tanır:

• NIST 800-63B: Minimum 8 karakter uzunluğu, ihlal edilmiş parola veritabanı taraması, tekrarlayan ve ardışık karakterlerin yasaklanması, ihlal kanıtı olmadan zorunlu periyodik değiştirme zorunluluğu olmaması ve uzun ezberlenen sırlar için parola ifadesi desteği
• PCI DSS: Kart sahibi veri ortamlarına erişen hesaplar için minimum uzunluk, karmaşıklık, geçmiş ve maksimum yaş gereksinimleri
• GDPR: AB sakini verilerini depolayan sistemler için parola güçlendirme kontrolleri dahil makul teknik önlemler
• HIPAA: Korunan sağlık bilgilerini işleyen sistemler için erişim kontrolü ve kimlik doğrulama önlemleri
• CJIS: Suç adli verilerine erişen sistemler için parola uzunluğu, karmaşıklığı ve değiştirme sıklığına dair FBI Ceza Adaleti Bilgi Hizmetleri politika gereksinimleri
• NIS2 Directive: AB'deki temel hizmet operatörleri ve dijital hizmet sağlayıcıları için kimlik doğrulama güçlüğü gereksinimleri

Yerleşik raporlama, tüm bağlı alanlardaki politika yapılandırmasını ve parola değiştirme etkinliğini belgeleyerek, kiracı ayarlarının anlık ekran görüntülerinin sağlayamadığı denetim izini sunar.

Microsoft Entra ID parola politikası karşılaştırması: Native vs. ADSelfService Plus

Aşağıdaki karşılaştırma, native Microsoft Entra ID parola politikası yetenekleri ile ADSelfService Plus aracılığıyla sunulan ek kontroller arasındaki farkları vurgular.

ADSelfService Plus ile Entra ID parola politikalarını neden uygulamalısınız

Uyumluluk ile gerçek kimlik bilgisi gücü arasındaki farkı kapatın. Entra ID'nin kiracı genelindeki karmaşıklık kuralları bir taban belirler, standart değil. ADSelfService Plus, Have I Been Pwned entegrasyonu ile ihlal edilmiş parolaları engelleyerek, sözlük kelimelerini, desenleri ve palindromları filtreleyerek ve üçte dördü kuralının ötesinde karakter düzeyinde gereksinimleri zorunlu kılarak, güçlü olmanın sizin organizasyonunuz için ne anlama geldiğini tanımlamanıza olanak tanır.

Farklı kullanıcı segmentlerine farklı standartlar uygulayın. Tüm Entra ID hesapları aynı riski taşımaz. ADSelfService Plus, ayrı gruplar için ayrı parola politikaları yapılandırmanıza olanak tanır— ayrıcalıklı hesaplar için daha sıkı kurallar, belirli departmanlar için özel gereksinimler—kiracı genelindeki varsayılandan bağımsız olarak.

Kullanıcıları gerçek zamanlı olarak daha güçlü seçimlere yönlendirin. Canlı parola güç göstergesi ve sıfırlama ile değiştirme ekranlarındaki satır içi politika gereksinimleri, kullanıcıların politikaya ilk denemede uymasına yardımcı olur, başarısız sıfırlamaları ve ardından gelen yardım masası yükünü azaltır.

Karmaşık parolaların yanında parola ifadelerini destekleyin. Karmaşıklık kurallarının gevşetildiği bir uzunluk eşiği yapılandırarak, kullanıcılara NIST 800-63B rehberliğine uygun olarak daha uzun ve daha akılda kalıcı kimlik bilgilerine pratik bir yol sunun—bu, Entra ID'nin native politikası tarafından karşılanamaz.

Entra ID kiracı ayarlarınızın tek başına karşılayamayacağı düzenleyici gereksinimleri karşılayın. ADSelfService Plus parola politikaları, NIST 800-63B, HIPAA, CJIS, GDPR ve NIS2 Directive'in özel gereksinimlerine göre yapılandırılabilir ve denetim kanıtını desteklemek için raporlama sağlar.

Microsoft Entra ID parola güvenliğini ADSelfService Plus ile güçlendirin. Gelişmiş parola kuralları yapılandırın, ihlal edilmiş parolaları engelleyin ve kuruluşunuz genelinde uyumluluk hazır parola politikalarını zorunlu kılın.